Googlen Gemini CLI -työkalussa on löydetty kriittinen turvallisuus haavoittuvuus vain muutaman päivän kuluttua sen julkaisusta 25. kesäkuuta 2025. Kyberturvallisuustutkijat Jäljittää Tunnisti puutteen, joka olisi voinut antaa uhka -toimijoille kohdistaa ohjelmistokehittäjiä haittaohjelmien ja suodatetun arkaluontoisen tiedon kanssa laitteistaan ilman havaitsemista.
Gemini CLI -työkalu on suunniteltu antamaan kehittäjille mahdollisuuden olla vuorovaikutuksessa Googlen AI: n kanssa suoraan komentoriviltä, tarjoamalla koodiehdotuksia ja käyttäjän laitteen komentojen suorittaminen. Haavoittuvuus johtui työkalun kyvystä suorittaa komennot automaattisesti sallioluettelosta. Tutkijat havaitsivat, että haitalliset ohjeet voitaisiin piilottaa Gemini lukeviin tiedostoihin, kuten Readme.md -tiedostoihin.
TraceBit: n mukaan hyökkääjät voisivat parittua näennäisesti vaarattomia komentoja haitallisten komentojen kanssa käyttämällä muotoilu temppuja vaarallisen koodin piilottamiseen. Testauksessa tutkijat osoittivat, kuinka haitallinen komento voisi sietää arkaluontoisia tietoja, kuten järjestelmämuuttujia tai valtakirjoja kolmannen osapuolen palvelimelle ilman käyttäjän tietämystä tai hyväksyntää. ”Haitallinen komento voisi olla mitä tahansa (etäkuoren asentaminen, tiedostojen poistaminen jne.)”, Tutkijat selittivät.
Vaikka hyökkäys vaati jonkin verran asennusta, mukaan lukien luotettavan komennon sallioluettelossa, se aiheutti huomattavan riskin pahaa ajattelemattomille kehittäjille. Google on sittemmin käsitellyt haavoittuvuutta version 0.1.14 julkaisemalla. Käyttäjiä suositellaan päivittämään tämän version tai uudemman välittömästi ja välttämään Gemini CLI: n ajamisen epämiellyttävällä koodilla, ellei turvallisessa testiympäristössä.
Source: Suuri turvallisuusvaroitus Geminiä käyttäville kehittäjille
